策略路由基本知識(shí)

1、策略路由策略路由Policy-based Routing1課程目標(biāo)課程目標(biāo)q 通過本課程的學(xué)習(xí)，您可以掌握如下知識(shí)點(diǎn)：通過本課程的學(xué)習(xí)，您可以掌握如下知識(shí)點(diǎn)：v策略路由的概念策略路由的概念v策略路由的原理策略路由的原理v策略路由的規(guī)劃策略路由的規(guī)劃v策略路由的調(diào)試策略路由的調(diào)試2提提 綱綱q策略路由簡介策略路由簡介q策略路由的實(shí)現(xiàn)原理策略路由的實(shí)現(xiàn)原理q策略路由的規(guī)劃設(shè)計(jì)策略路由的規(guī)劃設(shè)計(jì)q策略路由部署應(yīng)用案例策略路由部署應(yīng)用案例3一般路由的概念一般路由的概念q普通路由轉(zhuǎn)發(fā)普通路由轉(zhuǎn)發(fā),基于路由表進(jìn)行報(bào)文的轉(zhuǎn)發(fā)基于路由表進(jìn)行報(bào)文的轉(zhuǎn)發(fā)q路由表的建立路由表的建立v直連路由、主機(jī)路由；v 靜態(tài)配置

2、路由條目；v 動(dòng)態(tài)路由協(xié)議學(xué)習(xí)生成；查看命令show ip route4策略路由的概念策略路由的概念q策略路由策略路由(Policy-Based Routing) ，顧名思義，顧名思義，即是根據(jù)一定的策略進(jìn)行報(bào)文轉(zhuǎn)發(fā)，因此策略即是根據(jù)一定的策略進(jìn)行報(bào)文轉(zhuǎn)發(fā)，因此策略路由是一種比目的路由更靈活的路由機(jī)制。路由是一種比目的路由更靈活的路由機(jī)制。 5策略路由與路由策略辨析策略路由與路由策略辨析q策略路由策略路由路由器路由器轉(zhuǎn)發(fā)數(shù)據(jù)報(bào)文時(shí)轉(zhuǎn)發(fā)數(shù)據(jù)報(bào)文時(shí) 根據(jù)配置的規(guī)則對報(bào)文進(jìn)行過濾根據(jù)配置的規(guī)則對報(bào)文進(jìn)行過濾 匹配成功則按照一定的轉(zhuǎn)發(fā)策略進(jìn)行報(bào)文轉(zhuǎn)發(fā)匹配成功則按照一定的轉(zhuǎn)發(fā)策略進(jìn)行報(bào)文轉(zhuǎn)發(fā) 也可以修改

3、報(bào)文的也可以修改報(bào)文的IP優(yōu)先字段優(yōu)先字段 因此，策略路由是對因此，策略路由是對IP路由機(jī)制的有效增強(qiáng)路由機(jī)制的有效增強(qiáng) 對象對象:需要轉(zhuǎn)發(fā)的數(shù)據(jù)報(bào)文需要轉(zhuǎn)發(fā)的數(shù)據(jù)報(bào)文q路由策略路由策略 通過路由策略控制路由的接收、發(fā)布、引入的方法，實(shí)現(xiàn)對路由的優(yōu)化通過路由策略控制路由的接收、發(fā)布、引入的方法，實(shí)現(xiàn)對路由的優(yōu)化 對象對象:路由本身路由本身6提提 綱綱q策略路由簡介策略路由簡介q策略路由的實(shí)現(xiàn)原理策略路由的實(shí)現(xiàn)原理q策略路由的規(guī)劃設(shè)計(jì)策略路由的規(guī)劃設(shè)計(jì)q策略路由部署應(yīng)用案例策略路由部署應(yīng)用案例7策略路由的用途策略路由的用途q基于源的路由可以使不同的用戶選擇不同的基于源的路由可以使不同的用戶選擇不

4、同的ISPq通過設(shè)置通過設(shè)置IP Precedence或或Tos來實(shí)現(xiàn)來實(shí)現(xiàn)QOSq實(shí)現(xiàn)負(fù)載均衡實(shí)現(xiàn)負(fù)載均衡8策略路由的流程策略路由的流程入口入口數(shù)據(jù)包數(shù)據(jù)包策略路由？策略路由？有匹配條目嗎？有匹配條目嗎？YNPermit？N正常路由（基于目標(biāo)）正常路由（基于目標(biāo)）NYY策策略略路路由由SetMatch使用Route-map來配置策略路由的流程9策略路由的處理模式策略路由的處理模式q逐包模式逐包模式每個(gè)包都進(jìn)行查表后才進(jìn)行轉(zhuǎn)發(fā)每個(gè)包都進(jìn)行查表后才進(jìn)行轉(zhuǎn)發(fā)q流模式流模式 第一個(gè)包查路由轉(zhuǎn)發(fā)表，如果存在路由，將該第一個(gè)包查路由轉(zhuǎn)發(fā)表，如果存在路由，將該路由項(xiàng)以路由項(xiàng)以source、dest、tos

5、、入接口等索引放、入接口等索引放置到置到cache中，以后同樣的流就可以直接查中，以后同樣的流就可以直接查cache10策略路由的處理流程策略路由的處理流程流模式流模式SETROUTEMAP匹配查轉(zhuǎn)發(fā)表Cache/NP第一個(gè)流后續(xù)流是否加入轉(zhuǎn)發(fā)cache/NP入接口報(bào)文轉(zhuǎn)發(fā)報(bào)文ip route-cache policy 開啟快速交換策略路由開啟快速交換策略路由11Route-map原理原理類似于復(fù)雜的類似于復(fù)雜的Access-list自頂向下地處理，一旦有一條匹配，則立刻結(jié)自頂向下地處理，一旦有一條匹配，則立刻結(jié)束束route-map查找查找Route-map每個(gè)條目都被賦予編號(hào)，可以任意每個(gè)

6、條目都被賦予編號(hào)，可以任意地插入或刪除條目地插入或刪除條目12route-map的執(zhí)行的執(zhí)行route-map test permit 10match x y zmatch aset bset croute-map test permit 20match qset rdeny all(系統(tǒng)隱含系統(tǒng)隱含) If (x or y or z) and athen set (b and c)else if qthen set relse set nothing13提提 綱綱q策略路由簡介策略路由簡介q策略路由的實(shí)現(xiàn)原理策略路由的實(shí)現(xiàn)原理q策略路由的規(guī)劃設(shè)計(jì)策略路由的規(guī)劃設(shè)計(jì)q策略路由部署應(yīng)用案例策略路

7、由部署應(yīng)用案例14策略路由的適用環(huán)境策略路由的適用環(huán)境 q多出口情況下多出口情況下 校園網(wǎng)（校園網(wǎng)（internet網(wǎng)、教育網(wǎng)）網(wǎng)、教育網(wǎng)） 企業(yè)網(wǎng)（雙出口上網(wǎng)）企業(yè)網(wǎng)（雙出口上網(wǎng)）q旁路組網(wǎng)旁路組網(wǎng)q需要修改報(bào)文需要修改報(bào)文TOS、dscp；15策略路由的配置步驟策略路由的配置步驟q定義重分布路由圖定義重分布路由圖 一個(gè)路由圖可以由好多策略組成，策略按序號(hào)大小排列，只要符合了前一個(gè)路由圖可以由好多策略組成，策略按序號(hào)大小排列，只要符合了前面策略，就退出路由圖的執(zhí)行面策略，就退出路由圖的執(zhí)行 q定義路由圖每個(gè)策略的匹配規(guī)則或條件定義路由圖每個(gè)策略的匹配規(guī)則或條件 q定義滿足匹配規(guī)則后，路由器對

8、符合規(guī)定義滿足匹配規(guī)則后，路由器對符合規(guī)則的數(shù)據(jù)包進(jìn)行則的數(shù)據(jù)包進(jìn)行IP優(yōu)先值和下一跳的設(shè)優(yōu)先值和下一跳的設(shè)置置q 在指定接口中應(yīng)用路由圖在指定接口中應(yīng)用路由圖16策略路由的配置策略路由的配置q 路由器通過路由器通過route-map語句對符合條件的數(shù)據(jù)包實(shí)施路語句對符合條件的數(shù)據(jù)包實(shí)施路由策略由策略vpermit:對符合條件的數(shù)據(jù)包實(shí)施策略vdeny:對符合條件的數(shù)據(jù)包不實(shí)施策略Sequence: 0-65535, route-map語句的執(zhí)行順序語句的執(zhí)行順序（插入/刪除route-map語句 )Router(config)#route-map route-map-name permit

9、| deny sequence17匹配規(guī)則匹配規(guī)則q匹配ACLq匹配第三層數(shù)據(jù)包的長度v定義匹配規(guī)則，只有符合規(guī)則的數(shù)據(jù)包才進(jìn)行策略路由，如果沒，如果沒有配置匹配規(guī)則，則所有數(shù)據(jù)包都符合規(guī)則。有配置匹配規(guī)則，則所有數(shù)據(jù)包都符合規(guī)則。要定義策略的匹配規(guī)則，在路由圖配置模式中執(zhí)行以下命令： vRoute(config-route-map)#match ip address access-list-numberRouter(config-route-map)#match ip address access-list-number | name .access-list-number | nameRo

10、uter(config-route-map)#match length min max 18定義出口定義出口v對符合規(guī)則的數(shù)據(jù)包進(jìn)行下一跳的設(shè)置。要定義匹配規(guī)則后的操作，在路由圖配置模式中執(zhí)行以下命令： vRouter(config-route-map)# set interface type numbervRouter(config-route-map)#set ip next-hop ip-addressv路由器先檢查策略路由，后檢查路由表路由器先檢查策略路由，后檢查路由表Router(config-route-map)# set ip next-hop ip-address .ip-ad

11、dress 定義發(fā)出的數(shù)據(jù)包的下一跳地址定義發(fā)出的數(shù)據(jù)包的下一跳地址Router(config-route-map)# set interface type number .type number定義發(fā)出的數(shù)據(jù)包的出口定義發(fā)出的數(shù)據(jù)包的出口19特殊下一跳特殊下一跳路由器先檢查路由表，后檢查策略路由路由器先檢查路由表，后檢查策略路由Router(config-route-map)# set ip default next-hop ip-address .ip-address 定義到達(dá)目的網(wǎng)絡(luò)時(shí)無顯式路由時(shí)的隱含下一跳地址定義到達(dá)目的網(wǎng)絡(luò)時(shí)無顯式路由時(shí)的隱含下一跳地址20配置策略路由配置策略路由q

12、set ip next-hop ip-add和和set ip default next-hop21應(yīng)用到端口應(yīng)用到端口Router(config-if)# ip policy route-map map-tag 在入口上應(yīng)用策略路由在入口上應(yīng)用策略路由Router(config-if)# ip route-cache policy開啟快速交換策略路由開啟快速交換策略路由22策略路由示例策略路由示例1.1.0.0 ISP A.1.2.0.0 ISP B.23策略路由示例策略路由示例RouterA(configRouterA(config)# )# access-list 1 permit acc

13、ess-list 1 permit ipip 1.1.0.0 0.0.255.255 1.1.0.0 0.0.255.255RouterA(configRouterA(config)# )# access-list 2 permit access-list 2 permit ipip 1.2.0.0 0.0.255.255 1.2.0.0 0.0.255.255RouterA(configRouterA(config)# )# route-map access permit 10route-map access permit 10RouterA(configRouterA(config-rou

14、te-map)# -route-map)# match match ipip address 1 address 1RouterA(configRouterA(config-route-map)# -route-map)# set set ipip default default next-hop 6.6.6.6next-hop 6.6.6.6RouterA(configRouterA(config-route-map)# -route-map)# route-map access permit 20route-map access permit 20 RouterA(configRouter

15、A(config-route-map)# -route-map)# match match ipip address 2 address 2RouterA(configRouterA(config-route-map)# -route-map)# set set ipip defaultdefault next-hop 7.7.7.7 next-hop 7.7.7.7RouterA(configRouterA(config-route-map)# -route-map)# route-map access permit 30route-map access permit 30RouterA(c

16、onfigRouterA(config-route-map)# -route-map)# set default interface null0set default interface null0RouterA(configRouterA(config)# )# interface interface ethernetethernet 0 0RouterA(configRouterA(config-if)# -if)# ipip address 1.1.1.1 255.255.255.0 address 1.1.1.1 255.255.255.0RouterA(configRouterA(c

17、onfig-if)# -if)# ipip policy route-map access policy route-map accessRouterA(configRouterA(config)# )# interface serial 0interface serial 0RouterA(configRouterA(config-if)# -if)# ipip address 6.6.6.5 255.255.255.0 address 6.6.6.5 255.255.255.0RouterA(configRouterA(config)# )# interface serial 1inter

18、face serial 1RouterA(configRouterA(config-if)# -if)# ipip address 7.7.7.6 255.255.255.0 address 7.7.7.6 255.255.255.024策略路由的驗(yàn)證調(diào)試策略路由的驗(yàn)證調(diào)試q顯示顯示IP策略應(yīng)用情況策略應(yīng)用情況router#show ip policy Interface Route map FastEthernet2 test qDebug ip policyIP: s=1.1.1.2 (FastEthernet 1/1), d=192.168.2.250(), len=60, preced

19、ence=0, policy match RouteMap test, item = 10, permitIP: s=1.1.1.2 (FastEthernet 1/1), d=192.168.2.250(FastEthernet 1/0), len=60, precedence=0, policy routed25顯示策略路由的配置顯示策略路由的配置server_r1#show route-map route-map test, permit, sequence 10 Match clauses: ip address (access-lists): 1 Set clauses: defau

20、lt interface FastEthernet0 Policy routing matches: 42 packets, 2520 bytes route-map test, permit, sequence 20 Match clauses: ip address (access-lists): 2 Set clauses: ip next-hop 10.10.13.3 Policy routing matches: 12 packets, 720 bytesq顯示所有或指定路由映射的信息顯示所有或指定路由映射的信息 26提提 綱綱q策略路由簡介策略路由簡介q策略路由的實(shí)現(xiàn)原理策略路由的

21、實(shí)現(xiàn)原理q策略路由的規(guī)劃設(shè)計(jì)策略路由的規(guī)劃設(shè)計(jì)q策略路由部署應(yīng)用案例策略路由部署應(yīng)用案例27策略路由部署應(yīng)用案例一策略路由部署應(yīng)用案例一 q網(wǎng)絡(luò)拓?fù)渚W(wǎng)絡(luò)拓?fù)?72.16.0.2/30172.16.0.1/30210.38.0.2/30192.168.1.1/30210.38.0.1/30G1/1G1/2G1/3192.168.1.2/30s8610222.200.80.1/24222.200.80.2用戶使用教育網(wǎng)地址211.66.88.1/24211.66.88.2A用戶用戶B用戶用戶rg376028策略路由部署應(yīng)用案例一策略路由部署應(yīng)用案例一q用戶需求用戶需求OICQ應(yīng)用全走電信出口應(yīng)用全

22、走電信出口 全部用戶全部用戶222.200.80.1/24數(shù)據(jù)流通過教育網(wǎng)上網(wǎng)數(shù)據(jù)流通過教育網(wǎng)上網(wǎng) (A用戶用戶)211.66.88.1/24訪問教育網(wǎng)走教育網(wǎng)訪問教育網(wǎng)走教育網(wǎng) 非教育網(wǎng)流量走電信非教育網(wǎng)流量走電信 (B用戶用戶)29策略路由部署應(yīng)用案例一策略路由部署應(yīng)用案例一q如何實(shí)現(xiàn)？如何實(shí)現(xiàn)？route-map test permit 10 match ip address 103 set ip next-hop 172.16.0.1route-map test permit 20 match ip address 105 set ip next-hop 210.38.0.1 ip a

23、ccess-list extended 10310 permit tcp any any eq 800020 permit udp any any eq 8000 /OICQ端口端口 ip access-list extended 105 10 permit ip 222.200.80.1 0.0.0.255 any 20 permit ip any 58.192.0.0 0.1.255.255 省略省略 /.教育網(wǎng)地址段教育網(wǎng)地址段int ge 1/3ip policy route-map test /應(yīng)用到入接口應(yīng)用到入接口30策略路由部署應(yīng)用案例二策略路由部署應(yīng)用案例二q網(wǎng)絡(luò)拓?fù)渚W(wǎng)絡(luò)拓?fù)?/p>

24、172.16.0.2/30172.16.0.1/30210.38.0.2/30211.66.88.1/24210.38.0.1/30G1/1G1/2G1/3211.66.88.2s8610222.200.80.1/24222.200.80.2G1/4A用戶用戶B用戶用戶s8610s861031策略路由部署應(yīng)用案例二策略路由部署應(yīng)用案例二q用戶需求用戶需求OICQ應(yīng)用全走電信出口應(yīng)用全走電信出口 全部用戶全部用戶222.200.80.1/24數(shù)據(jù)流通過教育網(wǎng)上網(wǎng)數(shù)據(jù)流通過教育網(wǎng)上網(wǎng) (A用戶用戶)211.66.88.1/24訪問教育網(wǎng)走教育網(wǎng)訪問教育網(wǎng)走教育網(wǎng) 非教育網(wǎng)流量走電信非教育網(wǎng)流量走電

25、信 (B用戶用戶)32策略路由部署應(yīng)用案例二策略路由部署應(yīng)用案例二q如何實(shí)現(xiàn)？如何實(shí)現(xiàn)？route-map test permit 10 match ip address 103 set ip next-hop 172.16.0.1route-map test permit 20 match ip address 105 set ip next-hop 210.38.0.1 ip access-list extended 10310 permit tcp any any eq 800020 permit udp any any eq 8000 /OICQ端口端口 ip access-list

26、extended 105 10 deny ip any 211.66.88.0 0.0.0.255 20 deny ip any 222.200.80.0 0.0.0.255 30 permit ip 222.200.80.1 0.0.0.255 any 40 permit ip any 58.192.0.0 0.1.255.255 省略省略 /.教育網(wǎng)地址段教育網(wǎng)地址段int range ge 1/3-4ip policy route-map test /應(yīng)用到入接口應(yīng)用到入接口33策略路由部署應(yīng)用案例三策略路由部署應(yīng)用案例三q網(wǎng)絡(luò)拓?fù)渚W(wǎng)絡(luò)拓?fù)?4策略路由部署應(yīng)用案例三策略路由部署應(yīng)用案例三

27、q用戶需求用戶需求 訪問網(wǎng)通的網(wǎng)絡(luò)走網(wǎng)通線路訪問網(wǎng)通的網(wǎng)絡(luò)走網(wǎng)通線路 訪問其他網(wǎng)絡(luò)使用負(fù)載均衡的方式分別走兩條電信線路訪問其他網(wǎng)絡(luò)使用負(fù)載均衡的方式分別走兩條電信線路 35策略路由部署應(yīng)用案例三策略路由部署應(yīng)用案例三q如何實(shí)現(xiàn)？如何實(shí)現(xiàn)？access-list 90 permit 192.168.0.0 0.0.0.254 /定義偶數(shù)定義偶數(shù)IPaccess-list 91 permit 192.168.0.1 0.0.0.254 /定義奇數(shù)定義奇數(shù)IProute-map Telcom permit 10 match ip address 90 set ip default next-hop 202.109.204.1 /定義偶數(shù)定義偶數(shù)IP往電信往電信1線路轉(zhuǎn)發(fā)線路轉(zhuǎn)發(fā)route-map Telcom permit 20 match ip address 91 set ip default next-hop 61.154.8.1 /定義奇數(shù)定義奇數(shù)IP往電信往電信2線路轉(zhuǎn)發(fā)線路轉(zhuǎn)發(fā)ip nat pool pool1 prefix-length 24 address 202.109.204.2 202.109.204.2 match interface